Microsoft vincula el ataque a la cadena de suministro de ConnectWise a un grupo de amenazas alineado con el estado chino.

⟫ 21/10/2026 ⟫ Matt Kapko

Fuente: CyberScoop

**Investigación de Microsoft Revela un Ataque a la Cadena de Suministro que Afecta a Clientes de ConnectWise**

En un contexto global cada vez más complejo en términos de ciberseguridad, la reciente atribución por parte de Microsoft de un ataque a la cadena de suministro dirigido a los entornos de Microsoft 365 de los clientes de ConnectWise a un actor de amenazas alineado con el estado chino, conocido como Storm-0940, resalta la creciente sofisticación y alcance de las amenazas cibernéticas. Este tipo de ataque no solo pone en riesgo a las empresas afectadas, sino que también plantea un desafío significativo para la seguridad de la infraestructura crítica y la confianza en los servicios tecnológicos que muchas organizaciones utilizan a diario.

Storm-0940, un grupo de amenazas que ha estado activo desde 2021, ha dirigido sus esfuerzos a una serie de sectores, incluyendo la defensa y la aeronáutica, la automoción, la química, la energía, los servicios financieros, el gobierno, la industria legal, la manufactura, los medios de comunicación, el sector militar, los semiconductores, el software, la tecnología, los grupos de reflexión y las organizaciones sin ánimo de lucro. Este enfoque diversificado demuestra la capacidad del grupo para adaptarse y explotar vulnerabilidades en una amplia gama de entornos corporativos.

En un análisis detallado, los investigadores de Microsoft revelaron que tan pronto como septiembre de 2026, Storm-0940 utilizó el marco de pruebas de penetración basado en inteligencia artificial, ARTEX, para automatizar ataques que abarcaban cientos de organizaciones a nivel mundial. Este marco de trabajo, diseñado para optimizar los procesos de evaluación de seguridad, permitió al grupo llevar a cabo una campaña de "spraying" de contraseñas que resultó ser, en última instancia, ineficaz, pero que precedió a la violación del servicio de respaldo en la nube de ConnectWise.

El periodo crítico de esta campaña ocurrió en un lapso de cuatro días, finalizando el 14 de octubre, durante el cual Storm-0940 dirigió sus esfuerzos hacia 327 cuentas de Microsoft 365 y Exchange Online en ocho organizaciones diferentes. Durante este intervalo, Microsoft documentó más de 151,000 intentos fallidos de inicio de sesión, alcanzando un pico de 2,900 fracasos por minuto. Este nivel de actividad resalta la agresividad y la capacidad de automatización del grupo.

Al día siguiente, Storm-0940 volvió a centrarse en ConnectWise, utilizando agentes de IA y la misma infraestructura maliciosa para comprometer los entornos de Microsoft 365 de varios clientes de ConnectWise. Este ataque se vio facilitado por la utilización de ARTEX, que aceleró el escaneo, la realización de ataques de "spraying" de contraseñas y el abuso de aplicaciones de OAuth en las víctimas downstream. Según los investigadores de Microsoft, en algunos de estos entornos, los agentes de IA lograron avanzar más allá de la autenticación, realizando operaciones en Microsoft Graph y directorios, que incluían reconocimiento, modificaciones de credenciales de aplicación para establecer persistencia, y cambios en identidades, grupos y roles privilegiados.

La inteligencia de amenazas de Microsoft subrayó que múltiples actores de amenazas de diversas regiones están utilizando ARTEX para fortalecer sus capacidades y acelerar el ritmo de los ataques. Este marco de pruebas de penetración de código abierto es compatible con cualquier modelo de IA para automatizar diferentes flujos de trabajo de seguridad ofensiva. Según Microsoft, "ARTEX es un sistema de agentes impulsados por modelos de lenguaje de gran tamaño (LLM) que ejecutan una prueba de penetración autónoma desde el reconocimiento hasta la exfiltración de datos con poca interacción humana necesaria".

Durante la campaña contra ConnectWise, Microsoft señaló que "Storm-0940 utilizó ARTEX para alcanzar más de 2,250 inquilinos a un ritmo de 2,900 intentos de inicio de sesión por minuto, un ritmo que deja a los defensores con poco tiempo para detectar y responder". A pesar de la magnitud del ataque, Microsoft no proporcionó cifras exactas sobre cuántos clientes fueron comprometidos, aclarando que una autenticación exitosa no necesariamente indica que Storm-0940 haya accedido o robado datos. Sin embargo, los investigadores destacaron que los agentes de IA del grupo de amenazas también podrían adquirir acceso persistente y establecer puertas traseras mediante la modificación de credenciales en los entornos de las víctimas.

En respuesta al ataque, ConnectWise decidió cerrar temporalmente sus servicios el sábado tras la violación, y comenzó a restaurarlos en fases a partir del miércoles siguiente. La compañía instó a sus clientes a mantener desactivadas las conexiones y anticipó que el proceso de recuperación tomaría varios días.

Igor Tsyganskiy, vicepresidente ejecutivo de Microsoft, afirmó en una publicación en LinkedIn que "desde principios de octubre, ha habido una ola de ciberataques impulsados por IA". El ataque a la cadena de suministro de ConnectWise es solo "uno de muchos", agregó, subrayando así la creciente preocupación por la seguridad en un entorno donde la inteligencia artificial se está utilizando para incrementar la eficacia de las campañas de ciberataque.

Este incidente no solo refleja una tendencia preocupante en la evolución de los ataques cibernéticos, sino que también pone de manifiesto la necesidad urgente de que las organizaciones implementen medidas robustas de ciberseguridad y estén preparadas para responder a amenazas que, cada vez más, son cada vez más sofisticadas y automatizadas. Las empresas deben considerar la adopción de tecnologías avanzadas de detección y respuesta, así como la formación continua de su personal en temas de seguridad, para mitigar el impacto de estas amenazas emergentes.

◢ THREAT INTELLIGENCE ◣

Microsoft pins ConnectWise supply-chain attack to China-state aligned threat group

⟫ 21/10/2026 ⟫ Matt Kapko

Source: CyberScoop

Microsoft researchers attributed the recentsupply-chain attack targeting ConnectWise customers’ Microsoft 365 environments to a China-state aligned threat actor it tracks as Storm-0940. “As early as September 2026, Storm-0940 used the agentic AI penetration testing framework ARTEX to automate attacks targeting hundreds of organizations globally across a broad range of industries,” Microsoft Security Research wrote in ablog postWednesday. The nation-state group, which has been active since 2021, targeted organizations in aerospace and defense, automotive, chemicals, energy, financial services, government, legal, manufacturing, media, military, semiconductors, software, technology, think tanks and non-profits. Storm-0940 initiated a widespread, but ultimately unsuccessful, password-spraying campaign immediately preceding the compromise of ConnectWise’s Cloud Backup service. During a four-day stretch ending Oct. 14, Storm-0940 targeted 327 Microsoft 365 and Exchange Online accounts across eight organizations, researchers said. During that short campaign, Microsoft observed more than 151,000 failed logon attempts, peaking at 2,900 failures per minute. Storm-0940 set its sights on ConnectWise the next day, using AI agents and the same malicious infrastructure to compromise a series of ConnectWise Cloud Backup customers’ Microsoft 365 environments. Storm-0940 gained significant advantages in the ConnectWise supply-chain campaign by using ARTEX to accelerate scanning, conduct password-spray attacks and abuse OAuth applications in downstream victims, according to Microsoft. “In some of these environments, the AI agents (on behalf of the threat actor) progressed beyond authentication to Microsoft Graph and directory operations, including reconnaissance, application credential modifications to establish persistence, and changes involving identities, groups, and privileged roles,” researchers wrote. “Microsoft identified multiple customer environments with evidence of follow-on activity, highlighting how a compromised third-party application with high privileges could provide access beyond its originally intended purpose.” Microsoft Threat Intelligence said multiple threat actors from various regions are using ARTEX to strengthen capabilities and speed up the tempo of attacks. The open-source penetration testing framework works with any AI model to automate various offensive security workflows, the company said. “ARTEX is a system of LLM-driven agents that run an autonomous penetration test from reconnaissance through data exfiltration with little needed human interaction.” In the ConnectWise campaign, Microsoft said “Storm-0940 used ARTEX to reach more than 2,250 tenants at 2,900 sign-in attempts per minute, a pace that leaves defenders with little time to detect and respond.” Microsoft did not say how many customers were compromised, adding that successful authentication doesn’t necessarily indicate Storm-0940 accessed or stole data. Yet, researchers said the threat group’s AI agents could also gain persistent access and establish backdoors by modifying credentials in targeted victims’ environments. ConnectWise, which temporarily shut down services Saturday in the wake of the attacks, said itbegan restoring servicesin phases Wednesday. The company advised customers to keep connections disabled and said it expects the recovery process to take several days. “Since early October, a wave of AI-driven cyberattacks has been ongoing,” Igor Tsyganskiy, executive vice president at Microsoft, wrote in aLinkedIn postWednesday. The ConnectWise supply-chain attack is just “one of many,” he added. The postMicrosoft pins ConnectWise supply-chain attack to China-state aligned threat groupappeared first onCyberScoop.

← VOLVER A CIBERSEGURIDAD